平成１７年度経済産業省基準認認証研究開発事業

平成１７年度経済産業省

産業技術研究開発委託事業―１

生体情報による個人識別技術（バイオメトリクス）を利用した社会基盤構築に関する標準化第３部

バイオメトリクスセキュリティ評価基準の開発

平成１８年３月

財団法人ニューメディア開発協会

平成１７年度経済産業省基準認証研究開発事業

目次

バイオメトリクスセキュリティ評価基準の開発 ...............................................................................2３

３．１

バイオメトリクスのセキュリティ要件と評価方法の開発 ......................................................2

３．１．１

背景と目的...................................................................................................................2

３．１．２

標準化の動向と標準化活動..........................................................................................3

３．１．３

脆弱性評価に関する要件 .............................................................................................7

３．１．４

セキュリティ評価におけるバイオメトリクスシステムの参照モデル........................10

３．１．５

脆弱性評価方法..........................................................................................................12

３．１．６

結論............................................................................................................................14

３．１．７

参考文献 ....................................................................................................................16

３．２

バイオメトリクスの脅威・脆弱性公開におけるガイドライン策定......................................18

３．３

付録 ......................................................................................................................................24

３．３．１

ISO/IEC ＣＤ1 19792...............................................................................................24

３．３．２

SC27/WG3 国内委員会レビュー用資料.....................................................................57

３．３．３

信学会 BS 研究会 発表資料.......................................................................................611平成１７年度経済産業省基準認証研究開発事業

３ バイオメトリクスセキュリティ評価基準の開発
３．１

バイオメトリクスのセキュリティ要件と評価方法の開発

３．１．１

背景と目的

近年、情報システムの安全性に対する要求の高まりから、本人確認手段としてバイオメトリクス技術の適用が進みつつある［１］。バイオメトリクスを情報セキュリティ技術として利用するには、他の情報システムと同様、ＩＳＯ／ＩＥＣ １５４０８［５-１０］（以下ＣＣ：Common Criteria）などによるセキュリティ評価を適用する必要がある［２、３］。
しかし現状では、情報セキュリティの観点に基づいたバイオメトリクスの安全性はまだ十分に検討されていない。バイオメトリクス技術は、本人確認のための識別情報として生体情報を用いているため、生体情報の性質に起因するバイオメトリクス特有の脆弱性を持つ［４］。そのため、一般的なＩＴシステムにおける情報セキュリティの考え方を直接適用することができない。これがバイオメトリク
スの安全性評価に関する検討が十分でない一因と考えられる。
バイオメトリクスの安全性評価については、ＣＣの共通評価方法論（ＣＥＭ：Common Evaluation
Methodoogy）［９］にバイオメトリクスに関する要件を追加したＢＥＭ（Biometricds Evaluation
Methodology）［１３］が知られている。しかしＢＥＭが対象としているのは、主にバイオメトリクス装置に含まれる機能間のデータ漏洩や改ざん、推奨環境下で動作させた場合の精度、生体情報の偽造であり、その他のバイオメトリクス特有の脆弱性は触れられておらず、脆弱性分析（ＡＶＡ＿ＶＡＮ）
においてバイオメトリクスの専門家の助言を受けるよう提案しているのみである。そのため、現在のセキュリティ評価に関する標準あるいはそれらを補完するドキュメントだけでは、バイオメトリクス
装置の評価を実施するのは困難な状況にあるといえる。
そこで本研究では、バイオメトリクス特有の脅威や脆弱性を含めてセキュリティ評価を行うための基盤となる技術あるいは方法論の開発、およびその国際標準化を目的とする。
昨年度の本事業では、一昨年の研究結果に基づき、バイオメトリクス特有の脆弱性の評価方法を検討し、ＳＣ２７案件である１９７９２ " Security evaluation of biometrics "［１４］への貢献を具体的な目標として標準化を進めた。具体的には、特定のターゲットシステムを対象とした場合に、評価者がバイオメトリクス特有の脆弱性を抽出するための要件と参考情報をまとめた。本年度は、これらの作業結果を１９７９２に反映させ、標準文書の一部に展開していくための、標準文書作成および標準化活動を目的とする。

2

平成１７年度経済産業省基準認証研究開発事業

３．１．２

標準化の動向と標準化活動

本節では、バイオメトリクスのセキュリティ標準に関する今年度の動向と、本事業における標準化活動について述べる。主な標準化活動は次表の通りである。
表３−１ 国際標準化活動一覧#

参加会議・イベント

１

２

概要

開催日

ＩＳＯ／ＩＥＣ

１９７９２ WD３の寄書内容紹介および標準採用に向'０５／４

ＪＴＣ１ ＳＣ２７

けた支援作業を目的に参加。１９７９２はＷＤ４へ進

ウィーン会議行。本会議にてコエディタに就任。

１９７９２エディ

１９７９２ WD４完成に向けたエディタチームによるタ会議

個別議論および標準文書の作成作業を目的とした会議'０５／６（パリ、フランス） を実施。

３
４

１９７９２ ＷＤ４

上記会議に基づき１９７９２の脆弱性分析部分を執

０５／７

発行

筆。正式にＳＣ２７へ提出。

ＳＣ２７／ＷＧ３

１９７９２ WD４へのコメント収集を目的にＷＧ３国

国内委員会

内委員会にて内容を紹介。委員よりコメントを得た。

電子情報通信学会

１９７９２

ＷＤ４へのコメント収集を目的に講演

０５／１０

１９７９２

ＷＤ４へのコメント収集を目的に講演

０５／１１

'０５／８

バイオメトリクス
セキュリティ分科会
５

ＢＳＣ安全性委員
会

６

ＳＣ２７

クアラ

ルンプール会議

１９７９２ ＷＤ４に対するコメント処理を目的に出

０５／１０席。すべてのコメントを解決し、ＣＤへの進行が決定。
またタイトルを”Security Evaluation of Biometrics”に変
更。

７

ＳＣ３７

京都会

議

ＳＣ３７より１９７９２ ＷＤ４に対して 150 近くのコ

０６／１

メントが期限後に提出された。これらのコメントへの対応方針を議論する目的で、エディタとともに本会議に出席。主要なコメントについて議論し、解決を見た。

８

１９７９２ ＣＤ発

上記標準化活動において収集したコメントおよびその行解決方針に基づき１９７９２ ＣＤの脆弱性分析、用

０６／２

語、参照モデル（Annex A）などを執筆・修正し、正式にＳＣ２７へ投入した。
●０５年度４月におけるバイオメトリクスのセキュリティ評価標準の状況
１９７９２全体との整合性を確保した脆弱性分析に関する寄書を再度作成し、ＳＣ２７／ＷＧ３国

3

平成１７年度経済産業省基準認証研究開発事業

内委員会を通じて国際ＳＣ２７へ正式に寄書を投入［１９］。本寄書はほぼ提出時のまま１９７９２
WD３に採用［２０］されている。
１９７９２ ＷＤ３はバイオメトリクスのセキュリティ評価に関するフレームワークを定めるもの
であり、主に以下 5 点から構成される。
・セキュリティ評価の一般的要件（General requirements of Security Evaluation）
・バイオメトリクスの評価（Evaluation of Biometrics）
アルゴリズム、装置、システムと環境の３レベルによる評価方針を規定
・エラー率（精度）
セキュリティの観点からバイオメトリクスの精度評価を実施する上での要件
・脆弱性評価（Vulnerability Assessment）
バイオメトリクス特有の脆弱性評価に関する要件。
・プライバシ●ＩＳＯ／ＩＥＣ ＪＴＣ１ ＳＣ２７ ウィーン会議
ＩＳＯ １９７９２は１２月にＷＤ３が公開され、その後カナダ、フランス、米国，オーストラリア、
ＳＣ３７からコメントが提出された。今回の会議では、主にこれらのコメントへの対応が審議された。
カナダより、WD3 の内容が主に Informative（参考情報）で構成されているのを理由に、ＩＳ（International Standard）から TR（Technical Report）への変更を求めるコメントがあったが、ＩＳに向けて構成・内容を変更したＷＤ４を作成することでコメントを却下．また，ドキュメントの修正には今後も日本ＮＢ（National Body）貢献が必須であるとの認識から，報告者を acting co-editor に推薦．
WG３プレナリ審議で了承された．
●１９７９２エディタ会議（パリ）
先のＳＣ２７ウィーン会議での１９７９２ ＷＤ３へのコメントを受け、国際標準に向けて構成・内容を修正し、バイオメトリクス装置のセキュリティ評価要件を明確化することが本会議の主目的である。会議前に作成済みのＷＤ４の素案をベースに、以下の議論およびドキュメント修正を実施した。
・ドキュメント構成：素案からの大きな修正はなく、セキュリティ評価モデル、精度、脆弱性評価、
プライバシについての評価要件を記述することで合意
・SC37（バイオメトリクス）標準との整合性：SC37 との整合性を強化するため、バイオメトリクス参照モデルとしてＩＳＯ/ＩＥＣ ＦＣＤ ２４７１３をベースにセキュリティ機能を追加したモデルをAnnex A に記述、用語定義についてはＳＣ３７の参照を大幅に増強する方針とした。
・精度と脆弱性評価：内容に関して詳細にレビューを実施。精度評価に関して、被験者以外の利用者が極端に高い他人受入率を発生させる可能性が指摘され、新たなセキュリティ上の問題点として脆弱性評価に項目が追加された。その他は素案からの大きな修正はなく、エディトリアルな修正にとどまった。
・プライバシ：プライバシ保護を必要とする判断基準について意見がわかれ、結果として評価者が判

4

平成１７年度経済産業省基準認証研究開発事業断できない場合はプライバシ保護を推奨する記述を盛り込むことで合意。
・本会議での残件をドキュメントに反映し、０５年８月はじめに正式なＷＤ４としてＳＣ２７事務局に提出した。今後ＳＣ２７クアラルンプール会議（１１月）でのＣＤ化を目指す。
●ＩＳＯ １９７９２ ＷＤ４の作成およびＳＣ２７国際委員会への提出
ブラジル会議およびパリ会議での議論を反映し、１９７９２ ＷＤ４の用語、脆弱性分析、参照モデ
ルを作成、エディタによりＳＣ２７へ正式に寄書を投入した［１８］。
●ＳＣ２７／ＷＧ３国内委員会
１９７９２ＷＤ４へのコメント収集を目的にＳＣ２７／ＷＧ３国内小委員会で内容を紹介（付録参照）。得られたコメントおよび議論は以下の通り。
・ＣＣとの関係に関して、１９７９２はＢＥＭで不足している部分である脆弱性評価を補足する標準とも考えられる．ＣＣとの関係については現時点で明確化されていないが，ＣＣフレームワークとは別の標準として考えている．
・１９７９２の利用者として、各国でバイオメトリクスのセキュリティ評価基準を策定する人，あるいはバイオメトリクス製品を作ろうとしている人を想定している。後者の場合は私企業が自社のシステムを評価する際に利用する。Scope に利用者を記述するよう日本コメントに盛り込む．
・１９７９２による評価の実現性に関して、評価を行うレベルによるが、できる範囲で評価すると想定している。例えば，評価のため大規模に生体情報を収集するのは現実的ではないが，アルゴリズムの仕様などを手がかりにすれば，小規模な生体情報データベースでも評価は可能と考えている．具体的な評価のレベルや方法は１９７９２のスコープ外のため記述されていないが、Annex として盛り込
めるかエディターチームで検討する．また，本評価に関する認証機関は今のところ存在しない。
・CC フレーム輪ワークに準拠して１９７９２を利用する方策を検討すべき。
・バイオメトリクス用の機能要件および保証要件とあわせて JIL のような位置づけにすべきか。機能要件については 19792 のスコープ外。現時点ではセキュリティ評価の要件をブレークダウンする方向にあり，機能要件を盛り込んで JIL のような位置づけにする考えはエディターチーム内ではあがっていない．
・１９７９２において Vulnerability を一般の意味の Vulnerability とは別の意味で利用しているのであれば、Vulnerability の定義についてきちんと表現するか、もしくは、別の用語を定義すべき。
・脆弱性が脅威にどうつながるかについての記述がない。脆弱性の抽出にあたり想定した脅威がある
はず．想定した脅威はある．Annex としてまとめてあるが，完成度が低かったため今回の WD4 からは削除されている．日本コメントに盛り込む．
●ＩＳＯ／ＩＥＣ ＪＴＣ１ ＳＣ２７クアラルンプール会議
同会議に"19792：A Framework of security evaluation for Biometrics"のＷＤ４へのコメント処理およびＣＤへの推進を目的に、コエディタとして出席。
先のエディタ会議にて作成した WD4 に対する各国のコメントを処理し，対応方針（Dispositions of5平成１７年度経済産業省基準認証研究開発事業

comments）を作成した。主要な議論は以下の通りである。大幅な修正要求はなく、Committee Draft への進行を提案する決議を得た．ＣＤを'０６/１/３１までに発行し，同時に国際投票にかけられる．
・タイトルの変更：現在の具体的なスコープに沿うため，framework や testing を削除し，"Security
Evaluation of Biometrics"に修正．
・Privacy：各国の法などが優先するためＩＳの requirement になじまない（仏）．バイオメトリクスがプライバシに関わるのは明白であり単純に informative とすべきでない（独）．などの意見から IS に組
み込むべきか結論に至らず．プライバシ部分を再検討し次回会議で再度議論する．
・CC のバイオメトリクス向け補足情報であるＢＥＭ（Biometric Evaluation Methodology）を１９７９
２に盛り込む検討を開始する方針．CCDB で具体的な進展ないため，19792 で扱う方針に変更．
・各国 National Body からのコメントも技術的あるいはエディトリアルなコメントがほとんどであり，ドキュメントとしての構成や大まかな内容については国際的合意が得られたと考える．今後は既に定めた要件を補足する情報を中心に追記を行い，標準文書としての内容充実に努める．具体的には，上記 DoC を基に，CD を作成し１/３１までにＳＣ２７事務局に提出する．主な追記内容は，①脆弱性の評価方針，②脆弱性に関係する脅威の例の二点である．
●ＩＳＯ／ＩＥＣ ＪＴＣ１ ＳＣ３７ 京都会議
前出のＳＣ２７クアラルンプール会議後にＳＣ３７より 150 近いコメントが投入された。コメント
期限を過ぎており正式に対応する必要はないものの、有用なコメントが数多く含まれていたため、Ｓ
Ｃ３７のコメント執筆者と議論して対応方針を決定するため、エディタとともに本会議に出席した。
主な議論は各脆弱性項目の定義に関するもので、本議論を元に脆弱性項目の整理を行った。その結果は３．１．３節を参照のこと。また、脆弱性の評価に関して具体的な要件が不明とのコメントがあり、開発者および評価者のとるべきアクションの形で記述する方針とした。
●ＩＳＯ １９７９２ ＣＤの作成およびＳＣ２７国際委員会への提出
上記クアラルンプール会議および京都会議での議論を反映し、１９７９２ＣＤを作成し、エディタ
より国際ＳＣ２７へ正式に寄書を投入［１４］。今後、約３ヶ月間の投票期間を経て、'０６／５のＳ
Ｃ２７ マドリッド会議にて内容が審査される予定である。

6

平成１７年度経済産業省基準認証研究開発事業

３．１．３

脆弱性評価に関する要件

ＷＤ３における脆弱性分析は、バイオメトリクスセキュリティ評価の基本モデルである３レベル評
価（アルゴリズム、装置、運用システム）の各レベルについて、評価すべき脆弱性を定義したものである。
ＷＤ４およびＣＤへの移行にあたって行われた主要な修正は以下の通り。
①脆弱性項目の見直し②脅威の記述追加③脆弱性項目と評価レベルの関係整理
以下それぞれの修正点について具体的に説明する。詳細な内容については１９７９２ＣＤ［１４］を参照のこと。
①脆弱性項目の見直し
主にＳＣ３７のバイオメトリクスの専門家からのコメントに従い、脆弱性項目を再度整理した。具
体的な変更点とその理由を以下に示す。
・生体情報の偽造（Imitation of biometric characteristics）
人工物による偽造と、本物の生体情報を体から切り離した偽造とを混同していたため、それらの対策を分けると同時に脆弱性項目も明確に分離した。すなわち、「偽造」とは何らかの人工物により生体情報と同じような観測データを与えるものを指す。この場合の「偽造の脆弱性の程度」とは、人工物により偽造物を生成する難易度を意味する。またこの脆弱性への対策はなんらかの偽造検知技術（Imitation Prevention）によってなされる。一方、人体から生体情報を切り離した場合、偽造検知とは異なる技術（例えば生体検知技術（livenss checking））が必要になる。そこで不十分な生体検知機能が原因で人体から切り離された生体情報をバイオメトリクス装置が受け入れてしまう脆弱性を「偽造」とは別途「不十分な生体検知（Deficient liveness check）」として定義した。この脆弱性の程度は、人体から切り離された生体情報がバイオメトリクス装置に受け入れられる時間を考慮して決定される。
・ものまね（Mimicry of biometric characteristics）
対象とするバイオメトリクス技術の範囲を行動的特徴に限定
・不十分な生体検知（Deficient liveness check）
上記「生体情報の偽造」で述べたとおり、偽造とは別の脆弱性として定義した。
・被験者の偏り（Bias of the target population ）脆弱性の項目から削除した。本脆弱性は、被験者が一般的な利用者を代表しておらず生じる偏りにより、精度評価で得られた精度を運用時に再現できず、安全性が低下することを意味する。例えば、

7平成１７年度経済産業省基準認証研究開発事業

解像度の十分でない指紋センサを用いていると仮定して、隆線幅の広い被験者（例えば男性）のみで精度評価を行った場合、隆線幅の狭い利用者（例えば女性）による FAR が、評価結果の FAR から大きく上昇する現象などである。この現象はバイオメトリクス装置の仕様に起因して生じるが、適切な精度評価を実施することによって回避することも可能である。したがって、この問題はセキュリティを考慮した精度評価の要件として記述すべきである。１９７９２ ＣＤでは、精度評価の項にこの問題を記載した。
・経時変化（Aging of biometric characteristics）
生体情報を登録した後の経過時間により精度が変化することが一般に知られているが、この現象は主にＦＲＲについて生じるものであり、ＦＡＲにおいて問題になる可能性は低い。そのため本脆弱性は削除された。
・センサ（Capturing）
本脆弱性はセンサの汚れなどにより精度（ＦＡＲ）が影響を受ける可能性を示していたが、環境（Unexpected Environment）との明確な区別が困難であることから、本脆弱性は環境に関する脆弱性に統合した。
・整合性（Consistency of biometric component）
本脆弱性はバイオメトリクス装置を構成するサブコンポーネントの整合性が保たれないため（例えば一部のサブコンポーネントを更新した場合など）にＦＡＲが著しく大きくなる脆弱性を示していたが、ＦＡＲを増大させる可能性は低いとの指摘を受け、削除した。
②脅威の記述追加
読者の理解を助けるため、脆弱性の選定にあたり想定している脅威を記述すべきとのコメントを受け、本ドキュメントで想定している脅威の分類および各脆弱性項目において想定した脅威を記述した。
以下に具体的に示す。詳細は１９７９２ ＣＤを参照のこと。
【脅威の分類】
・意図的ななりすまし
攻撃者は潜在的な脆弱性を利用し、認証あるいは識別の際に正規の利用者になりすまそうとする。
・偶発的ななりすまし
潜在的な脆弱性が原因で、通常の FAR よりもはるかに高い率で利用者が他の正規の利用者としてシステムに受け入れられる。
・バックドアの生成
登録プロセスにおいて一人以上の攻撃者を受け入れうるアカウントを生成する。
以下に脅威の記述例を示す。下線は脅威について言及している箇所である。

8

平成１７年度経済産業省基準認証研究開発事業【例：６．３．１ 生体情報の偽造（Imitation of biometric information）】
生体情報は IC カードや鍵のように偽造を防止するように設計されているわけではない。グミによる指紋や録音した音声など、誰でも簡単に偽造しうる生体情報が存在する。これは利用者のなりすましやバックドアの生成につながる潜在的な脆弱性である。
この潜在的な脆弱性が簡単につけこまれない（exploit）ことを確認するために、開発者は製品の偽造防止に関する情報を提供しなければならない。この情報は以下を含むべきである。偽造の難易度、キャプチャサブコンポーネントおよび偽造防止サブコンポーネントの仕様、ターゲットシステムが仮定する環境および運用条件。さらに開発者はターゲットシステムにおける偽造困難性を主張しなければならない。開発者は、偽造の作成に関するテスト結果を提出してもよい。加えて、偽造防止の効果に関するあらゆる制限事項が明示されなければならない。評価者は開発者の主張を検証する目的で偽造防止を評価しなければならない。さらに一般的に知られているバイオメトリクス技術に関係した偽造の方法の可能性を評価するために、評価者は他の利用可能な偽造技術を利用しなければならない。
これらの要件はシステムレベル評価に適用される。
もし上記の評価の結果、偽造防止の性能に関する不足が明らかになった場合、評価者はさらに以下の脅威についても評価しなければならない。
この脆弱性につけこむ脅威のひとつは特定の利用者の生体情報に良く似た生体情報を与える人工物を使った意図的ななりすましである。この攻撃にはオリジナルのバイオメトリクスサンプルが必要になるため、評価者はこの脅威に対する抵抗性を評価するためにオリジナルの生体情報を入手する場合の困難性も考慮すべきである。この脅威の評価を可能にするために、開発者はオリジナル生体情報を入手するための困難性（６．３．４、６．３．１１に記述）に関する情報を提供しなければならない。
開発者はまた、ターゲットシステムがこの脅威に対して耐性があることを主張しなければならない。
もうひとつの脅威は、偽造物を用いた登録時のバックドアの生成である。偽造物が登録され照合される場合、偽造物が誰でもシステムにアクセスできるトークンとして利用される可能性がある。この場合、偽造物は正規の利用者の生体情報を与える必要はないため、攻撃者はオリジナル生体情報を入手する必要はない。一方、この脅威を評価するためには、開発者は登録時の運用要件に関する情報を提供し、ターゲット製品がこの脅威に対して耐性を有していることを主張しなければならない。例えば、管理者によりモニターされた登録プロセスは効果的な対策になりうる。評価者は開発者の主張の妥当性を検証しなければならない。これらの要件はアプリケーションレベル評価に適用される。
③脆弱性項目と評価レベルの関係整理
各脆弱性項目は全ての評価レベルで評価しなければならないわけではない。１９７９２CD１では、脆弱性項目と評価レベルの関係について以下のように記述を追加している。
【６．３ Vulnerability Assessment より抜粋】
脆弱性評価に関する要件は下表に示すように評価レベルに依存している。表は各潜在的な脆弱性への要件を評価レベルごとにまとめたものである。“N/A” はその評価レベルにおける脆弱性評価を行う
必要がないことを意味する。“基本的（Basic）”評価は、その評価レベルにおいて、単一の潜在的脆弱性の度合いを明らかにする評価を意味する。“拡張（Extended）”評価は、その評価レベルにおいて、

9

平成１７年度経済産業省基準認証研究開発事業

ターゲット（アルゴリズム、装置、システム）がその潜在的脆弱性に関係する脅威に対して耐性を有することを確認することを意味する。また、評価レベルは階層構造を持っており、常に上位の評価レ
ベルは下位の評価レベルを含まなければならない。すなわち、拡張評価（Extended）を実施するということは、同時に基本評価（Basic）も実行することを意味する。しかし、基本評価において単一の脆
弱性が簡単に悪用（exploit）されないことが確認できている場合、拡張評価を行う必要はない。したがって、システムレベル評価あるいはアプリケーションレベル評価においては、まずコンポーネント
レベル評価から着手することが効果的である。

３．１．４

セキュリティ評価におけるバイオメトリクスシステムの参照モデル

セキュリティ評価におけるバイオメトリクスシステムの参照モデルは、ＩＳＯ／ＩＥＣ ＦＣＤ ２
４７１３−１ Biometric Profiles for Interoperability and Data Interchange – Part 1: Biometric Reference
Architecture［１７］を基にして、セキュリティ評価に必要なサブシステムを追加したものである（下図）。具体的には、１９７９２の Annex A に記載されている。
ＣＤの作成にあたって大きな変更はなく、用語をＳＣ３７ ＳＤ２．４［１６］に沿って修正し、識別（Identification）システムに関するプロセスを追加したのみである。

10

平成１７年度経済産業省基準認証研究開発事業

Real Environment
Enrolment

Biometric
Characteristics

End-user

Derolment

PhysicalEnvironment

Claimed
Identity

Subject
Capture I/FCreateEnrolment data
ID
recordID

Administration

Data
Storage

Enrolment data record

Get enrolment
Data record

Operational
Conditions

Application/
portalConfiguration
Threshold

Signal Processing
Sensor

Pre-Process

FeatureExtraction

Imitation
Prevention

Quality
Analysis

Data Capture
Quality
Analysis

Compare(matching)

Decision

Component Level Boundary
System Level Boundary

Lab Environment

Application Level Boundary
verification
enrollment

general interaction
Administration

図３−１ 参照モデル

11

identification

平成１７年度経済産業省基準認証研究開発事業

３．１．５

脆弱性評価方法

より具体的な脆弱性評価を記述する目的で、１９７９２CD１では脆弱性の評価方法に関する記述を追加した。ただし、具体的な評価方法は１９７９２のスコープではないため、開発者および評価者が実行すべき要件を規定するに留めた。
１９７９２CD１では、脆弱性の評価において、開発者（Vendor）と評価者（Evaluator）の役割を定めている。開発者は評価者が評価を実施するために必要な情報を提供し、１９７９２CD１に列挙されている脆弱性および関連する脅威に対して十分な耐性があることを主張しなければならない。評価者
は開発者から提供された情報にもとづき、その主張の妥当性を確認する。必要であれば評価者は追加の独立テストを行うこともある。
【開発者】：脆弱性評価を受けるアルゴリズム、装置、またはシステムの開発者あるいは専門家【評価者】：開発者から提供される情報に基づき、開発者の主張の妥当性を検証する
これは、脆弱性の評価に開発者の協力が不可欠であると考えられるためである。１９７９２で扱う
脆弱性はバイオメトリクスに特有であり、そのためターゲットとなるバイオメトリクス認証装置のア
ルゴリズムや実装に深く関係する。評価者が開発者と同等の技術的スキルを持つとの仮定は現実的でないため、開発者が必要な情報を提供し、評価者がその妥当性を検証することで、脆弱性の評価を実施する方針を採っている。
脆弱性評価のプロセスにおける開発者と評価者の基本的な役割および実施項目は以下の通りである。
ア）開発者は脆弱性に関する情報を評価者に提供する。
提供すべき情報は個々の脆弱性に関して定義されている。
イ）開発者は脆弱性が簡単に利用（exploit）されないことを主張する。
ウ）評価者は開発者の提供する情報に基づき、イ）の主張の妥当性を検証する。
必要であれば評価者は独自のテストを実施することもできる。
エ）上記検証の結果、脆弱性が悪用される可能性があると判断された場合、以下の評価を実施する。
オ）開発者は脆弱性を組み合わせた脅威に対するターゲットの耐性を示す情報を提供する。
脆弱性を組み合わせた脅威は個々の脆弱性に関して定義されている。
カ）開発者は上記脅威に対してターゲットが十分な耐性を有していることを主張する。
キ）評価者は開発者の提供する情報に基づき、カ）の主張の妥当性を検証する。
必要であれば評価者は独自のテストを実施することもできる。
以下に具体的な例を示す。下線が開発者と評価者の基本的な役割および実施項目を示す。
【例：６．３．１ 生体情報の偽造（Imitation of biometric information）】
生体情報は IC カードや鍵のように偽造を防止するように設計されているわけではない。グミによる指紋や録音した音声など、誰でも簡単に偽造しうる生体情報が存在する。これは利用者のなりすまし12平成１７年度経済産業省基準認証研究開発事業やバックドアの生成につながる潜在的な脆弱性である。
この潜在的な脆弱性が簡単につけこまれない（exploit）ことを確認するために、開発者は製品の偽造防止に関する情報を提供しなければならない。この情報は以下を含むべきである。偽造の難易度、キャプチャサブコンポーネントおよび偽造防止サブコンポーネントの仕様、ターゲットシステムが仮定する環境および運用条件。さらに開発者はターゲットシステムにおける偽造困難性を主張しなければならない。開発者は、偽造の作成に関するテスト結果を提出してもよい。加えて、偽造防止の効果に関するあらゆる制限事項が明示されなければならない。評価者は開発者の主張を検証する目的で偽造防止を評価しなければならない。さらに一般的に知られているバイオメトリクス技術に関係した偽造の方法の可能性を評価するために、評価者は他の利用可能な偽造技術を利用しなければならない。
これらの要件はシステムレベル評価に適用される。
もし上記の評価の結果、偽造防止の性能に関する不足が明らかになった場合、評価者はさらに以下の脅威についても評価しなければならない。
この脆弱性につけこむ脅威のひとつは特定の利用者の生体情報に良く似た生体情報を与える人工物を使った意図的ななりすましである。この攻撃にはオリジナルのバイオメトリクスサンプルが必要になるため、評価者はこの脅威に対する抵抗性を評価するためにオリジナルの生体情報を入手する場合の困難性も考慮すべきである。この脅威の評価を可能にするために、開発者はオリジナル生体情報を入手するための困難性（６．３．４、６．３．１１に記述）に関する情報を提供しなければならない。
開発者はまた、ターゲットシステムがこの脅威に対して耐性があることを主張しなければならない。
もうひとつの脅威は、偽造物を用いた登録時のバックドアの生成である。偽造物が登録され照合される場合、偽造物が誰でもシステムにアクセスできるトークンとして利用される可能性がある。この場合、偽造物は正規の利用者の生体情報を与える必要はないため、攻撃者はオリジナル生体情報を入手する必要はない。一方、この脅威を評価するためには、開発者は登録時の運用要件に関する情報を提供し、ターゲット製品がこの脅威に対して耐性を有していることを主張しなければならない。例えば、管理者によりモニターされた登録プロセスは効果的な対策になりうる。評価者は開発者の主張の妥当性を検証しなければならない。これらの要件はアプリケーションレベル評価に適用される。

13

平成１７年度経済産業省基準認証研究開発事業

３．１．６

結論

（1） 国際標準化の成果と今後の課題
国際標準化に関し、今年度は、本事業成果を展開したＩＳＯ １９７９２ "Security Evaluatoin of
Biometrics"の標準化を推進することを目的に、ドキュメント作成、国内標準化活動、および国際標準化活動に参加した。主な標準化活動は以下の通りである。
表３−３ 標準化活動一覧#

参加会議・イベント

１

２

概要

開催日

ＩＳＯ／ＩＥＣ

１９７９２ WD３の寄書内容紹介および標準採用に向'０５／４

ＪＴＣ１ ＳＣ２７

けた支援作業を目的に参加。１９７９２はＷＤ４へ進

ウィーン会議行。本会議にてコエディタに就任。

１９７９２エディ

１９７９２ WD４完成に向けたエディタチームによるタ会議

個別議論および標準文書の作成作業を目的とした会議'０５／６（パリ、フランス） を実施。
３
４

ＳＣ２７／ＷＧ３

１９７９２ WD４へのコメント収集を目的にＷＧ３国

'０５／８

国内委員会

内委員会にて内容を紹介。委員よりコメントを得た。

電子情報通信学会

１９７９２

ＷＤ４へのコメント収集を目的に講演

０５／１０

１９７９２

ＷＤ４へのコメント収集を目的に講演

０５／１１

バイオメトリクス
セキュリティ分科会
５

ＢＳＣ安全性委員
会

６

ＳＣ２７

クアラ

ルンプール会議

１９７９２ ＷＤ４に対するコメント処理を目的に出

０５／１０席。すべてのコメントを解決し、ＣＤへの進行が決定。
またタイトルを”Security Evaluation of Biometrics”に変
更。

７

ＳＣ３７
議

京都会

ＳＣ３７より１９７９２ ＷＤ４に対して 150 近くのコ

０６／１

メントが期限後に提出された。これらのコメントへの対応方針を議論する目的で、エディタとともに本会議に出席。主要なコメントについて議論し、解決を見た。

以上の標準化活動を通じ、本事業で作成したバイオメトリクス特有の脆弱性抽出に関する方法論および参考情報を、ＩＳＯ ＣＤ１ １９７９２（Committee Draft）として結実させることができた。
（２）

技術開発の成果と今後の課題

技術開発に関し、今年度は１９７９２の標準化推進を目標として、これまでの成果を標準文書に展14平成１７年度経済産業省基準認証研究開発事業開するための技術開発を行った。具体的には、評価対象のターゲットシステムごとに、脆弱性を評価するための開発者および評価者の要件をまとめた。これらの要件には、各脆弱性を評価する場合に詳細に調査が必要となる情報を含んでいる。１９７９２のスコープは具体的な評価方法の規格化を目的としていないため、開発者および評価者が検討しなければならない情報を既定することで、これまでに本事業で検討した脆弱性評価方法に関する知見を盛り込んだ。
（３）

当初の目標に照らした達成状況とその要因

今年度は、本事業の最終年度（３年目）であり、バイオメトリクスのセキュリティ評価に関する標
準策定を進めることが目標である。この目標に対し、今年度は１９７９２ ＷＤ４の作成、国内でのコメント収集、国際標準化会議での調整活動などを実施し、ＣＤへ進むことができた。最終的には来年度の各国からのＣＤ投票によりＣＤ化の承認が決まる。
本事業を開始した当初は技術開発を進めながら標準化提案先を模索していたが、最終年にあたってその成果をＣＤに結実させ、当初の目的を十分に達成することができたと考えている。

15

平成１７年度経済産業省基準認証研究開発事業

３．１．７

参考文献

［1］瀬戸編著「ユビキタス時代のバイオメトリクスセキュリティ」日本工業出版、２００３［2］瀬戸

サイバーセキュリティにおける生体認証技術 、共立出版（２００２／５）［3］磯部 バイオメトリクス技術最前線−バイオメトリクス技術とセキュリティ標準 月刊バーコー
ド２００２年６月号、日本工業出版（２００２／６）［4］三村ほか「生体認証における脅威および脆弱性に関する分析」、電子情報通信学会 バイオメトリ
クスセキュリティ研究会、２００３［5］ＩＳＯ／ＩＥＣ １５４０８ : Information technology - Security techniques - Evaluation criteria for Ｉ
Ｔ security、１９９９［6］JIS X ５０７０、セキュリティ技術-情報技術セキュリティの評価基準、２０００［7］永井ほか

情報システムに対するセキュリティ国際評価基準の動向と日立製作所の対応 、日立

評論 Vol.８１ No.６(１９９９／６)［8］永井ほか

セキュリティ対策目標の最適決定技法の提案 、 情報処理学会論文誌、Vol.４１、

No.８、２２６４-２２７１（２０００／８）［9］"Common Evaluation Methodology for Information Technology Security Evaluation (CEM)、" CEM-９
７／０１７、CEM-９９／０４５［10］IPA（情報処理振興事業協会）セキュリティセンター翻訳 「情報技術セキュリティのための共通評価方法論」［11］"Biometric Device Protection Profile (Draft Issue ０.８２)、" Communications-Electronics Security
Group、 Biometric Working Group、２００１［12］"Biometric Verification Mode Protection Profile for Medium Robustness Environments (version １.０)、" National Security Agency、２００３［13］"Biometrics Evaluation Methodology、" Biometric Evaluation Methodology Working Group、 ２００
２［14］ＩＳＯ／ＩＥＣ ＪＴＣ １／ＳＣ ２７ N４８９６、 ISO/IEC 1st CD 19792 Information
technology — Security techniques — Security evaluation of biometrics［15］ＩＳＯ／ＩＥＣ ＪＴＣ １／ＳＣ ２７ N３９８８、 Japanese National Body comments received
on document ＳＣ２７ N３８０６ - ＩＳＯ／ＩＥＣ １st WD １９７９２ - A framework forsecurity evaluation and testing of biometric technology［16］ＩＳＯ／ＩＥＣ ＪＴＣ １／ＳＣ ３７ N１２４８、Text of ISO/IEC JTC 1/SC 37 Standing
Document 2 (SD 2), Harmonized Biometric Vocabulary［17］ＩＳＯ／ＩＥＣ ＪＴＣ １／ＳＣ ３７ N１２２６、 Text of FCD 24713-1, Biometric Profiles forInteroperability and Data Interchange – Part 1: Biometric Reference Architecture［18］ＩＳＯ／ＩＥＣ ＪＴＣ １／ＳＣ ２７ N４４９９、 Text for ＩＳＯ／ＩＥＣ 4th ＷＤ １９７９２ ― Information technology ― Security techniques ― A framework for security evaluation andtesting of biometric technology［19］ATTACHMENT ３ TO ＳＣ ２７ N４１４４、 Japanese comments on ＩＳＯ／ＩＥＣ ２nd WD16

平成１７年度経済産業省基準認証研究開発事業

１９７９２［20］ＩＳＯ／ＩＥＣ ＪＴＣ １／ＳＣ ２７ N４２４７、 Text for ＩＳＯ／ＩＥＣ ３rd WD １９７９２ ― Information technology ― Security techniques ― A framework for security evaluation andtesting of biometric technology

17平成１７年度経済産業省基準認証研究開発事業

３．２

バイオメトリクスの脅威・脆弱性公開におけるガイドライン策定＜担当：早稲田大学・小松＞（１）はじめに技術に完全ということは無く、常に脆弱性が伴う。この脆弱性を発見した場合、どのように事実を公開し、問題点に対応すべきか。こうした検討は、システムを健全に構築し、かつ運用するうえで不可欠であることは言うまでもない。
バイオメトリックシステムにおいても、生体情報、バイオメトリック装置とともにそれらの運用・管理の観点から脅威と脆弱性の存在を明確にしてそれらを公開することは、迅速かつ的確な対策を講ずるうえで重要である。例えば情報通信倫理綱領[1]（社会的責任）でも指摘されているとおり、新技術の研究開発と運用に当たっては、技術がどのような社会的影響を与えるかを明確にし、影響に関する情報を広く周知する努力が要請されている[2]。ここでは、専門家として技術とその運用に関する正しい理解が必要とされており、一般利用者に対しても分かり易く説明する義務が求められる。
バイオメトリクスの脅威・脆弱性公開におけるガイドラインは、個人また組織において認証システム、装置の脅威と脆弱性を発見した際の行動規範の拠り所となるものであり、開発・運用者、利用者の立場を十分考慮して取りまとめる必要がある。
本節では、電子情報通信学会ユビキタスネットワーク社会におけるバイオメトリクスセキュリティ研究会（以下、BS 研究会）
（委員長：半谷精一郎教授（東京理科大））において 2005 年 9 月に開催されたパネル討論の概要をまとめ、ガイドライン策定の方針を考察する。
（注１）（２）ガイドライン策定方針
脆弱性の発見から製品開発者による対策が円滑に進めば脆弱性に基づく脅威は発生しないが、実際には以下の問題が存在する[3]。
１）発見された情報に関する情報の暴露、流出・発見者が脆弱性に関する情報を掲示板等に暴露・発見者が脆弱性に関する情報を放置
・製品開発者などが脆弱性に関する情報を放置
・一部の製品開発者だけが対策を公開
２）利用者の対応が攻撃の開始に間に合わない
このように、発見者、製品開発者、利用者が相互に関連を持つことから、全体を考慮した情報の取り扱いと対処が必要となることが分かる。
文献[4]（平成 16 年度経済産業省委託事業成果報告抜粋）によれば、公的な機関で、詳細ガイドラ
イン作成および管理体制を構築することが急務であり、バイオメトリック製品の脆弱性発見の場合の対応フローとして図１が提案されている。
①製品開発者は、事前に十分な脆弱性脅威対策を行った上で製品を出荷する。脆弱性情報が存在する
場合、受付機関に情報を事前に提供する。

18

平成１７年度経済産業省基準認証研究開発事業②製品開発関係者以外の脆弱性の発見者は、一般の場に情報を公開する前に受付機関および調整機関との調整を行う。脆弱性の詳細の情報の公開は好ましくなく、公開は脆弱性の存在のみに留める。
③一般利用者への情報公開は、調整機関でその効果を判断した上で行う。
④運用者には、受付機関に脆弱性情報が入った時、および調整機関での検討を行った時、迅速な情報の提供を行う。
⑤対策技術に関しては、一般利用者への公開は不要であり、調整機関、製品開発者、運用者の間で共
有する。

発見者

⑤

②
①

製品開発者

一般

脆弱性評価
第三者機関

受付機関

調整機関

③

運営者

④
製品開発者

図１ バイオメトリック製品の脆弱性発見の場合の対応フロー案（３）バイオメトリック認証の脆弱性
図１に示すバイオメトリック製品の脆弱性発見の場合の対応フロー案を共通認識として、バイオメト
リック認証の脆弱性に関するパネル討論を電子情報通信学会 BS 研究会で行った。本節ではその概要をまとめる。
１）バイオメトリクス個人認証の脆弱性保護技術[5]a) 脆弱性に関する背景−バイオメトリクス個人認証への期待と現実−
・既存の個人認証の弱点克服
弱点= 偽造・盗難・協力・強制・方法は違うだけで同じ弱点を攻撃可能
・偽造可能性
偽造した生体情報の提示
・盗難可能性
本人が認知しない生体情報と登録情報の漏洩や改竄・協力可能性
本人が意図的・強制的に協力
b) 攻撃耐性技術19平成１７年度経済産業省基準認証研究開発事業

・偽造
生体検知機能による防御
・盗難
暗号化
登録の無効化
遺留・露出の抑制
・協力・強制定形外行動の自動検出と単独認証の抑制
c) 生体検知・静的特長
・形状・模様・（スペクトル）反射率・導電率・誘電率・水分含有率・特定化学物質・硬度・温度
センシング手法が確立されれば、情報処理としては単純原理と入手法がわかれば偽造可能
・動的特徴
・随意運動・不随意運動・刺激に対する反射
静的特徴より模倣するためにコストがかかるのでより安全動的事象の処理コストが大きい
・どこまで実装されるか・守るべき価値・攻撃可能性・対策コストのトレードオフ
現状で偽造による被害が深刻でなく導入が進んでいないd) 登録無効化・公開鍵でテンプレートの真正性を保証・奪われたテンプレートの真正性を否定できる・無効化可能なバイオメトリクステンプレート
・方式提案が行われている段階だが、将来必要な技術
Cancelable Biometrics / Key Hiding / Key Generatione) Key Generation の研究例
・Fuzzy commitment (Jules, 1999)
完全に一致しないが、ほどほどに近い秘密鍵が受け入れられる暗号化理論
・Fuzzy vault (Jules, 2002)
秘密鍵のビット順序の入れ替わりを許容
・Fuzzy fingerprint vault (Clancy, 2003)
Fuzzy vault が指紋に適用可能なことを提案
・Fuzzy fingerprint vault (Yang, 2004)
課題となる位置合わせを三点間の不変特徴で解決
f) 提言
・検知は効果的なものを追求
・詐称の難しさ×検知簡単さ
・テンプレートの保護はすぐにでも必要

20平成１７年度経済産業省基準認証研究開発事業

・当面はテンプレート暗号化で対処・無効化可能な暗号化テンプレートの開発が急務
・詐称の可能性は決してなくならない・バイオメトリクスへのIDS（定型的認証パターンを学習し、定形外行動を検出）
・不審行動の人による監視の必要性
２）金融業務とバイオメトリクス[6]a) 現在のキャッシュカードと ATM による預金引出しの脆弱性
・偽造の容易な磁気ストライプカード⇒ IC カード化による対応が進められつつある。
・4 桁の暗証番号の限界⇒ 利用者による不適切な設定・運用を排除できないため、推定されたり、銀行システムの外部で漏洩してしまうリスクがある。
b) 金融業界がバイオメトリクスに求めるもの
・偽造対策としてキャッシュカードを IC カード化したとしても、盗用までも防止できない。盗難カードによる被害を防ぐためにも、暗証番号よりも高度な本人確認手段が必要。
⇒ IC カードに加えてバイオメトリクスを導入する動き
・金融機関相互の CD オンライン提携と、バイオメトリクス認証技術間の相互運用性、互換性の問題
・預金取引に対する信頼を取り戻す手段として、どこまで評価できるか （膨大な導入コスト、代替手段との比較）・「バイオメトリクスは究極のセキュリティ対策」 というイメージが先行している一方、実際のシステムに実装した場合の、運用面を含めたセキュリティを正確に評価することが困難であるため、方針を決めかねている利用者が多い。
⇒ 安全性評価に対する正確な理解が必要c) 今後のバイオメトリクス研究の課題
・バイオメトリクスによる安全性を、正確に評価するための枠組み作りと、ユーザの正しい理解。
・特に、バイオメトリクスを利用したシステムに固有の「身体的特徴の偽造による攻撃」に対する安全性評価と、その対策が練られる必要がある。
d) エンドユーザが安心できるバイオメトリクス
・新しい技術を利用し始める際には、新しい脅威に対する備えをしておく必要がある。
⇒「身体的特徴の偽造による攻撃」に対する対策は？
⇒ ①脆弱性を評価する手法の確立、②生体検知機能の導入、③未知なる脆弱性を発見し、対応する体制整備
・エンドユーザが、「高度なセキュリティ技術」と信じ、高いリスクを委ねようとする技術である程、
エンドユーザに対して、その技術の安全性を説明し、信任を得ていくことが大切である。

21

平成１７年度経済産業省基準認証研究開発事業

３）銀行におけるバイオメトリクスの実用化[7]a) バイオメトリクス（生体認証）
・認証技術の進歩
・ ユビキタス・ネットワーク社会の到来
9.11 同時多発テロを契機として、本人確認手段として注目・クローズドからオープン環境での実用化b) 検討項目
・どの方式を採用するか・利用チャネル
・操作性
・精度評価の問題
FRR（本人拒否率）と FAR（他人受入率）
評価方法、評価対象、サンプル数、適応率 etc.
・生体認証情報の保管
プライバシ保護・利用者の意向c) 生体認証情報の位置づけ
・生体認証は、本人確認の手段としてのみ活用する
・生体認証情報は、個人情報のなかでも特に取扱いに慎重を要する（超）センシティブ情報
身体の特徴情報で取り替え不能（変更ができない）
d) 生体認証情報の取得
・生体認証情報は銀行では保有しない
・（超）センシティブな個人情報
・従業員の生体認証情報へのアクセス回避・漏洩リスクの回避
・IC カードの IC チップ内に保管する・照合処理も IC チップ内で行なう（MOC 方式）
・IC チップは堅牢なセキュリティを有する
・特徴化した情報のみ保管
・登録情報から生体情報の復元は困難
e) 利用者アンケート調査
・生体認証情報の保管（銀行 or IC カード）・「どちらも抵抗なし」が約 6 割を占める
・「IC カードに登録」は約 1 割、「銀行が保有」は約 4 割が抵抗を感じる（４）まとめ現状では、バイオメトリック製品の脆弱性関連情報流通体制が確立されていないため、発見者が知22

平成１７年度経済産業省基準認証研究開発事業り得た脆弱性情報を適切に公表する機会が無かった。このため、発見者が技術者倫理に則って発表を行っても、一般利用者や製品開発者にとって必ずしも公開すべきでない情報も流出する可能性があった。
パネル討論においては、発見者、受付機関、調整機関、製品開発者および運用者間で脆弱性情報の取り扱いに関する行動指針の明確化が必要であることを確認した。すなわち、発見者は、知り得た脆弱性情報を放置もしくは第三者に暴露することなく、受付機関（注２）に報告する。受付機関は、調整機関（注３）に脆弱性関連情報を通知し、調整機関は製品開発者と協議したうえで脆弱性の公表時期と内容を決定する。以上の情報流通体制を学会、産業界、政府機関で詳細に協議して構築するとともに、法的な根拠を明らかにし、かつ一般利用者に対して啓発活動を続けていくことが肝要である。
さらにこうした体系にもとで、研究者、技術者は事実を追求する立場で脆弱性に関する検討を行う
必要があり、学会の場ではこうした活動を支援すべきである。

注１：文献[8]によれば、専門家とは①高い専門性を持つこと、②広い裁量を持つこと、③専門家集団を作っていること、④高い社会的身分を有していること、という４つの条件がある。専門家集団である学会を中心として産学官相互に影響力のあるガイドラインに関する議論を深めるのは意味がある。
注２：ソフトウエア製品の脆弱性関連情報流通体制では、IPA が対応する。
注 3：ソフトウエア製品の脆弱性関連情報流通体制では、JPCERT/CC が対応する。
[参考文献][1]http://www.ieice.org/jpn/about/code.html[2]辻井、笠原： 情報セキュリティ ,昭晃堂, pp.178‑183 (2003.10).
[3]早貸： 脆弱性情報の取り扱いについて , 情報処理, Vol.46, No.6, pp.662‑671 (2005.6).
[4]瀬戸： バイオメトリクスの脅威及び脆弱性公開におけるガイドライン , 第５回 BS 研究会予稿集,
pp.29‑36 (2005.9).
[5]鷲見： バイオメトリクス個人認証の脆弱性保護技術, 第５回 BS 研究会予稿集,[6]岩下： 金融業務とバイオメトリクス , 第５回 BS 研究会予稿集, pp.65‑66 (2005.9).
[7]嶋田： 東京三菱銀行におけるバイオメトリクスの実用化, 第５回 BS 研究会予稿集, pp.67‑69(2005.9).
[8]名和： インターネットと倫理感 , bit, vol.29, no.10, pp.4‑26 (1997.10).

23

平成１７年度経済産業省基準認証研究開発事業

３．３

付録

３．３．１

ISO/IEC ＣＤ1 19792

24平成１７年度経済産業省基準認証研究開発事業25

平成１７年度経済産業省基準認証研究開発事業26

平成１７年度経済産業省基準認証研究開発事業27

平成１７年度経済産業省基準認証研究開発事業28

平成１７年度経済産業省基準認証研究開発事業29

平成１７年度経済産業省基準認証研究開発事業30

平成１７年度経済産業省基準認証研究開発事業31

平成１７年度経済産業省基準認証研究開発事業32

平成１７年度経済産業省基準認証研究開発事業

33

平成１７年度経済産業省基準認証研究開発事業34

平成１７年度経済産業省基準認証研究開発事業35

平成１７年度経済産業省基準認証研究開発事業36

平成１７年度経済産業省基準認証研究開発事業37

平成１７年度経済産業省基準認証研究開発事業38平成１７年度経済産業省基準認証研究開発事業39

平成１７年度経済産業省基準認証研究開発事業40

平成１７年度経済産業省基準認証研究開発事業41

平成１７年度経済産業省基準認証研究開発事業

42

平成１７年度経済産業省基準認証研究開発事業43

平成１７年度経済産業省基準認証研究開発事業44

平成１７年度経済産業省基準認証研究開発事業45

平成１７年度経済産業省基準認証研究開発事業46

平成１７年度経済産業省基準認証研究開発事業47

平成１７年度経済産業省基準認証研究開発事業48

平成１７年度経済産業省基準認証研究開発事業49

平成１７年度経済産業省基準認証研究開発事業50

平成１７年度経済産業省基準認証研究開発事業51

平成１７年度経済産業省基準認証研究開発事業52

平成１７年度経済産業省基準認証研究開発事業

53

平成１７年度経済産業省基準認証研究開発事業

54平成１７年度経済産業省基準認証研究開発事業55

平成１７年度経済産業省基準認証研究開発事業

56

平成１７年度経済産業省基準認証研究開発事業

３．３．２

SC27/WG3 国内委員会レビュー用資料

SC27/WG3 小委員会資料 '05/8/9

バイオメトリクスセキュリティ評価基準

ISO/IEC 19792 "A framework for security evaluation andtesting of biometric technology"
Editor：N.Tekampe（独）、co-editor：E.Saliba（仏）、M.Mimura（日）2005/8/2発行 ISO/IEC JTC1 N4499

SC27/WG3小委員会資料 '05/8/9

ドキュメント構成
 SCOPE バイオメトリクス認証装置のセキュリティ評価に関する基本的な要件

 Basic Concept アルゴリズム、システム、実運用の3つの評価レベル導入

 Error Rate
 セキュリティレベルに応じた精度評価の実施

 Vulnerability Assessment
 評価すべきバイオメトリクスの脆弱性項目
 バイオメトリクス特有の性質（生体情報の性質）に起因する脆弱性
 バイオメトリクス装置に特有な脆弱性（しきい値設定など）
 一般的なITに共通する脆弱性（生体情報の漏洩・改ざんなど） Privacy
 プライバシ保護の観点から評価すべきバイオメトリクスシステムの仕様

 Annex A： Reference Model セキュリティ評価の際に用いられるバイオメトリクスシステムの参照モデル

 Annex B： Error Rates – Recommendations for values

57平成１７年度経済産業省基準認証研究開発事業

SC27/WG3小委員会資料 '05/8/9

Scope バイオメトリクスのセキュリティ評価における要件を示す
 バイオメトリクスに特有の問題にフォーカス

 バイオメトリクス認証（verification）システムに特化

 Positive Identification（識別）やNegative Identification（ブラックリストサーチ）はスコープ外 Identificationのセキュリティ評価はVerificationと大きく異なると予想

 SC37とのオーバーラップ

 用語（SC37 SD2）、バイオメトリクスシステムの参照モデル（CD 24713）、精度評価
方法（FCD 19795）はすでにSC37で規格化が進行中
 19792ではSC37標準に加え、セキュリティ評価の観点を追加

SC27/WG3小委員会資料 '05/8/9

Basic Concept
 評価の対象・目的に合わせたセキュリティ評価レベルの導入
 認証精度は環境（物理環境・利用者・運用）に影響される
 脆弱性は評価の対象に依存する

 Component Level 認証アルゴリズムの評価

 System Level 制御可能な環境下（物理環境・利用者）における認証システムの評価

 Application Level 実運用システムの評価（制御不可能な環境下）

 レベル間の関係
 精度評価は各レベルでの精度の妥当性検証に用いられる
 脆弱性評価は下位を含む

58

平成１７年度経済産業省基準認証研究開発事業

SC27/WG3小委員会資料 '05/8/9

Annex A：Reference Model of a biometric system
 System Level センサー，ユーザI/F，設定機能，制御可能な環境（物理環境・運用）

 Application Level ユーザ，ストレージ，実環境（物理環境・運用），プライバシ問題，登録・削除

SC27/WG3小委員会資料 '05/8/9

Error Rate
 セキュリティに関係する精度（他人受入率：FAR）の評価
 バイオメトリクス認証システムは代替手段を持つと想定．FRRはスコープ外．

 False Acceptanceの原因分析の実施
 脆弱性分析の手がかりとなる重要な情報が含まれる

 関連する精度（FRR・FTE・FTA）の妥当性検証
 FRRその他の評価自体が目的ではない．要求されるFARを実現するために非現実的なFRRを引き起こす可能性を排除することが目的

 異なる評価レベル間での精度評価結果に矛盾がないことを確認 評価レベル間での精度の大幅な乖離は，システム設計の誤りを示唆する

 精度の信頼区間は要求される保証のレベルを満たす
 高い保証レベルを実現するには，精度の信頼区間を小さくする必要がある．SC37
における精度評価では信頼度95%に固定．

 ベンダによる精度評価の方法および結果の妥当性検証．独立した小規模な追試験の実施．
 基本的に精度評価は評価者が実施すべきであるが，現実的に実施が困難な場合に適用される．

59平成１７年度経済産業省基準認証研究開発事業

SC27/WG3小委員会資料 '05/8/9

Vulnerability Assessment
 脆弱性：他人受入を頻発させる可能性のあるバイオメトリクスシステムの性質
 本節に記載された脆弱性を評価レベルにしたがって評価
 記載されていない脆弱性の存在についても検討

 生体情報の特性に依存する脆弱性の評価
 生体情報の複製・ものまね，秘匿の困難性，経年変化
 近親者や双子などにおける類似性

 バイオメトリクス・システムの仕様に依存する脆弱性の評価
 多くの利用者と一致しやすい特殊な生体情報/非生体情報（コンポーネント）
 コンポーネントの一貫性（コンポーネント） 生体検知，センサの性能劣化（システム） テンプレートの品質管理，制限のないパラメータ設定，環境変化（システム）
 バイオメトリクスデータ・認証結果の漏洩や改ざん（システム） テンプレートおよび関連する個人情報の削除機能（システム） テンプレート登録のための本人確認，生体確認，アクセス制御（アプリケーション） その他の脆弱性
 精度評価に含まれない利用者（コンポーネント）

SC27/WG3小委員会資料 '05/8/9

Privacy 生体情報やテンプレートへの不正アクセスを防止しなければならない
 生体情報には意図しないプライバシ情報が含まれることがある 性別，年齢，人種，健康状態，etc...

 アプリケーションレベルでは以下について評価
 評価者がプライバシ保護を不要と判断した場合，その根拠を示す（要件） 判断がつかない場合，プライバシ保護を必要とすることを推奨 テンプレートへの不正なアクセス防止機能の確認
 利用者の認識なしにテンプレートが使用されるのを防止する機能の確認
 利用者に関する情報をシステムから削除する機能の確認
 利用者へバイオメトリクスの利用を告知する機能の確認

60平成１７年度経済産業省基準認証研究開発事業

３．３．３

信学会 BS 研究会 発表資料

バイオメトリクスセキュリティ
評価基準の開発（株）日立製作所 システム開発研究所
セキュリティ基盤技術研究センタ

三村昌弘
本研究は、（財）ニューメディア開発協会が受託した経済産業省 産業技術研究開発委託事業「生体情報による個人識別技術（バイオメトリクス）を利用した社会基盤構築に関する標準化」により開発された平成16年度成果の一部について報告する。

背景 セキュリティ技術としてのバイオメトリクス
 バイオメトリクス製品の安全性とは？
 精度（False Acceptance Rate：FAR）
 生体情報（テンプレート）の漏洩・改ざんなど
 IT製品としての安全性 バイオメトリクスに特有の脆弱性への対策

 評価基準 精度＞ISO 19795，JIS TR IT製品としての安全性＞ISO 15408
 バイオメトリクス特有の脆弱性＞？

61

平成１７年度経済産業省基準認証研究開発事業

バイオメトリクス特有の脆弱性
 バイオメトリクス特有の性質に起因する脆弱性
 生体情報は意識的な秘匿が困難
 パスワードやICカードは意識的に秘匿できる 生体情報を無限に作り出すことはできない パスワードや秘密鍵は作り変えが可能

 生体情報は入力の度に変化する
 生体情報は個人情報のひとつである

 脆弱性の程度がバイオメトリクス特有の脆弱性
 生体情報の複製の難易度
 パスワードはコスト０，ICカードはコスト大 利用者の習熟による精度の変化
 センサ（入力装置）の劣化による精度の変化
 汚れなどにより比較的短期間に精度劣化を引き起こす

バイオメトリクスの安全性評価における課題
ISO15408（CC）

考えうるすべてのバイオメトリクスの脅威・脆弱性

Part1
概説と
一般モデル

Part1
概説と
一般モデル

リスク分析

脅威

Part2
機能要件の
カタログ
Part3

共通評価方法論（CEM）

ＩＳＯ１９７９２ Part2

対策

バイオメトリクス製品のセキュリティ仕様

評価

保証要件の
カタログ

バイオメトリクス特有の性質を考慮した
セキュリティ要件と評価方法

62

評価方法論

平成１７年度経済産業省基準認証研究開発事業

バイオメトリクスセキュリティ評価フレームワーク
 ISO/IEC JTC1 SC27/WG3

 IT製品のセキュリティ評価標準

 ISO/IEC 19792 "A framework for security
evaluation and testing of biometric technology"
 '05/8/2 4th Working Draft発行
 コメント募集中（'05/10末〆切） SCOPE バイオメトリクスのセキュリティ評価における要件を示す
 セキュリティ評価の観点から必要になる精度評価
 評価すべきバイオメトリクス特有の脆弱性

 バイオメトリクス認証（verification）システムに特化

 想定される読者
 評価標準策定者，評価方法の策定者
 開発者（アルゴリズム・装置・システム）

ISO/IEC 19792の概要
 Basic Concept アルゴリズム、システム、実運用の3つの評価レベル導入

 Error Rate

 セキュリティレベルに応じた精度評価の実施

 Vulnerability Assessment

 評価すべきバイオメトリクスの脆弱性項目
 生体情報の性質に起因する脆弱性
 バイオメトリクス装置に特有な脆弱性（しきい値設定など）
 一般的なITに共通する脆弱性（生体情報の漏洩・改ざんなど） Privacy

 プライバシ保護の観点から評価すべきシステムの仕様

 Annex A： Reference Model セキュリティ評価の際に用いられるバイオメトリクスシステムの
参照モデル

63

平成１７年度経済産業省基準認証研究開発事業

Basic Concept
 評価の対象・目的に合わせたセキュリティ評価レベルの導入
 認証精度は環境（物理環境・利用者・運用）に影響される
 脆弱性は評価の対象に依存する

 Component Level ： 認証アルゴリズムの評価
 System Level：制御可能な環境下におけるシステムの評価
 Application Level ： 実運用システムの評価

Reference Model of a biometric system
 System Level センサー，ユーザI/F，設定機能，制御可能な環境（物理環境・運用）

 Application Level ユーザ，ストレージ，実環境（物理環境・運用），プライバシ問題，登録・削除

64平成１７年度経済産業省基準認証研究開発事業

Error Rate
 セキュリティに関係する精度（他人受入率：FAR）の評価
 バイオメトリクス認証システムは代替手段を持つと想定．FRRはスコープ外．

 False Acceptance（他人受入）の原因分析の実施
 脆弱性分析の手がかりとなる重要な情報が含まれる

 異なる評価レベル間での精度評価結果に矛盾がないことを確認 評価レベル間での精度の大幅な乖離は，システム設計の誤りを示唆する

 精度の信頼区間は要求される保証のレベルを満たす
 高い保証レベルを実現するには，精度の信頼区間を小さくする必要がある．
SC37における精度評価では信頼度95%に固定．

 ベンダによる精度評価の方法および結果の妥当性検証．独立した小規模な追試験の実施．
 基本的に精度評価は評価者が実施すべきであるが，現実的に実施が困難な場合に適用される．

Vulnerability Assessment
 生体情報の特性に依存する脆弱性の評価
 生体情報の複製・ものまね，秘匿の困難性，経年変化
 近親者や双子などにおける類似性

 バイオメトリクス・システムの仕様に依存する脆弱性の評価
 多くの利用者と一致しやすい特殊な生体情報/非生体情報（C）
 コンポーネントの一貫性（C）
 生体検知，センサの性能劣化（S）
 テンプレートの品質管理，制限のないパラメータ設定，環境変化（S）
 バイオメトリクスデータ・認証結果の漏洩や改ざん（S）
 テンプレートおよび関連する個人情報の削除機能（S）
 テンプレート登録のための本人確認，生体確認，アクセス制御（A）

 その他の脆弱性
 精度評価に含まれない利用者（C）（C）：Component，（S）：System，（A）：Application65平成１７年度経済産業省基準認証研究開発事業

Privacy 生体情報やテンプレートへの不正アクセスを防止しなければならない
 生体情報には意図しないプライバシ情報が含まれることがある 性別，年齢，人種，健康状態，etc...

 アプリケーションレベルでは以下について評価
 評価者がプライバシ保護を不要と判断した場合，その根拠を示す
 判断がつかない場合，プライバシ保護を必要とすることを推奨 テンプレートへの不正なアクセス防止機能の確認
 利用者の認識なしにテンプレートが使用されるのを防止する
機能の確認
 利用者に関する情報をシステムから削除する機能の確認
 利用者へバイオメトリクスの利用を告知する機能の確認

まとめ バイオメトリクスの安全性評価に関する国際標準案
 バイオメトリクスの安全性評価
 安全性評価の観点からみた精度評価
 バイオメトリクス特有の脆弱性への対策チェック 生体情報の漏洩・改ざん防止のチェック ISO/IEC 19792の利用
 開発者：設計段階での自己評価
 アルゴリズム開発，装置開発，システム開発

 評価方法策定者：最上位の要件集
 国際標準，各国標準，テスト機関，企業（品質保証）

 4th Working Draftへのコメント募集中（'05/10末）66